[发明专利]一种基于信息隐藏的模型主动防护技术

说明书

本发明公开的一种基于信息隐藏的模型主动防护技术，以主动防护为基准，面向人工智能技术的发展和进步对深度神经网络模型的知识产权保护带来的挑战，提出了一种新的保护方法。我们使用原始样本和签名作为输入，利用信息隐写技术生成关键样本，且关键样本和原始数据肉眼上不可分辨，之后利用距离控制算法生成具有特殊分布的三个对抗样本，使得三个对抗样本成正三角形环绕在签名样本周边，DNN模型利用关键样本和对抗样本进行对抗训练，以此将DNN模型和我们的关键样本建立唯一性关系，以期为模型赋予主动防护功能。本发明可以实现对深度学习模型知识产权进行主动性防护。

技术领域

本发明属于神经网络模型知识产权保护领域，涉及信息隐藏技术、深度神经网络模型的防护技术。

背景技术

随着人工智能技术的快速发展，深度学习技术在人脸识别、语音识别和机器翻译等各种具有挑战性的任务中取得了巨大的进步。深度神经网络(DNN)的设计、实现到部署消耗巨大，不仅需要大量的时间投入，还需要耗费大量的人力和智力资源。因此，对模型的知识产权进行保护便成为重中之重以保护模型所有者的利益。

由于深度神经网络(DNN)Error！Reference source not found.也是数字产品的一种，因此有学者借助数字产品保护技术对DNN进行保护，例如：密码学和水印技术。密码学方法通过使用加密算法对模型的结构、参数等重要数据进行加密，并仅对授权用户发放密钥，用户使用密钥对模型解密以实现正常使用。但这种方法无法控制授权用户解密模型后的行为，例如：用户将解密后的模型盗版售卖或者部署在云端并开发API以供其他用户使用，这就极大地侵犯了模型开发者的利益。还有学者将多媒体内容版权保护的数字水印方法引入深度学习领域，即在训练阶段向DNN中嵌入水印实现对侵权行为的有效追溯，当模型未经允许被私自滥用时，模型所有者可以通过水印检测证明模型发明者所有权并依法追究侵权行为。然而，这种技术有许多缺陷和不足，数字水印技术旨在建立起模型和发明者间的唯一性联系，但这种唯一性证明存在许多挑战，攻击者可以捕获关键样本以躲避验证，也可以很容易地伪造水印实现所有权的欺骗声明，这些攻击手段为水印技术带来许多困难。

考虑到以上问题，有研究人员开始尝试主动防护方法，April Pyone、Maung Maung和Hitoshi Kiya使用逐块像素混洗方法打乱图片像素排列实现模型保护，这种方法简单易用，但对像素的重新排列易损失像素间关联。如果图片有多个目标那这种方法便难以生效，特别是人群图片含有大量目标，更加难以应用此种方法。Mingliang Chen和Min Wu使用设计的转化模型为原始样本添加扰动,并进行对抗训练实现主动防护，但实验结果表明无法有效抵御规避攻击。

因此，提供一种能够有效抵御各种类型的DNN模型规避攻击的主动防护技术是本领域技术人员亟待解决的问题。

发明内容

本发明针对上述研究现状和存在的问题，提出了一种基于信息隐藏的模型主动防护技术，可以使得模型具备主动防护功能并抵御各种类型的规避攻击。

为实现上述目的其具体方案如下：

一种基于信息隐藏的模型主动防护技术，包括：

1、引入图像隐写网络技术：

Baluja等提出的隐写网络结构，由编码器e和解码器d组合共同实现信息隐藏功能，可以向原始样本嵌入独有的签名图片生成关键样本和对抗样本，通过对抗训练的方法将DNN模型和关键样本建立起唯一性联系，保证模型拟合且只拟合关键样本分布，由于我们的关键样本的分布具有特殊性和唯一性，攻击者即使盗走了DNN模型，也无法正常使用，从而实现了模型主动防护功能。

2、引入距离控制机制：